Une faille notée 10 sur 10 que vous ne pouvez pas corriger

Microsoft a publié le 21 août CVE-2026-69836, une vulnérabilité affectant Entra ID, son service d'identité dans le cloud. Le score est le maximum possible : 10,0 sur l'échelle CVSS.

Entra ID, anciennement Azure Active Directory, est ce qui décide qui a le droit d'ouvrir une session sur Microsoft 365, sur Azure et sur les applications tierces raccordées à l'annuaire d'entreprise. C'est le videur à l'entrée. Une exécution de code à distance à cet endroit-là n'a pas d'équivalent en gravité.

La nature de la faille

L'avis de Microsoft la décrit comme une « désérialisation de données non fiables dans Microsoft Entra ID permettant à un attaquant non autorisé d'exécuter du code sur un réseau ».

En clair : le service reconstruisait un objet à partir de données fournies de l'extérieur sans vérifier suffisamment ce qu'il reconstruisait. C'est une classe de bug ancienne et bien connue, répertoriée sous CWE-502, et elle reste l'une des plus efficaces qui soient — parce qu'elle transforme une donnée en instruction.

Ni authentification, ni interaction de l'utilisateur, ni privilège préalable. D'où le 10.

Le correctif que vous n'appliquerez jamais

La vulnérabilité a été découverte en interne, par Robert Fitzpatrick, ingénieur principal en sécurité chez Microsoft. Elle a été corrigée côté service avant même d'être rendue publique.

Nous avons identifié et traité ce problème avec un correctif, et nous avons publié CVE-2026-69836 par souci de transparence.

Il n'y a donc rien à télécharger, rien à redémarrer, rien à planifier. « Cette vulnérabilité a déjà été entièrement atténuée par Microsoft. Il n'y a aucune action à entreprendre pour les utilisateurs de ce service. »

Trois jours d'étiquette « exploitée »

Le bulletin d'origine indiquait que la faille était exploitée dans la nature. C'est ce que la plupart des médias spécialisés ont repris le 21 août — et à juste titre, puisque c'était ce que disait la source primaire.

Le 24 août à 2 h 15 du matin heure de l'Est, Microsoft a corrigé son avis : la vulnérabilité n'a pas été exploitée.

L'erreur est vraisemblablement une case cochée par inadvertance dans un formulaire de publication. Mais pendant trois jours, des équipes ont probablement ouvert des cellules de crise, lancé des chasses aux indicateurs de compromission et rédigé des notes à leur direction pour une exploitation qui n'avait jamais eu lieu. Sur une faille qu'elles ne pouvaient de toute façon pas corriger.

Ce qu'il faut en faire

Rien, techniquement. Mais l'épisode dit quelque chose d'utile sur le modèle de responsabilité partagée : quand l'infrastructure d'identité est un service, la surface d'attaque appartient au fournisseur et le risque reste chez vous. Les seules prises qui vous restent sont celles que vous contrôlez encore — journalisation des connexions, accès conditionnel, principe du moindre privilège sur les applications raccordées à l'annuaire.

C'est la même leçon que l'affaire Snowflake, vue par l'autre bout : là, le fournisseur avait fait le nécessaire et les clients n'avaient pas activé la double authentification. Ici, le client ne peut rien faire du tout.

Sources

Help Net Security, « Microsoft patches critical Entra ID vulnerability (CVE-2026-69836) », 21 août 2026, mis à jour le 24 août, à partir de l'avis de sécurité de Microsoft.